Criptojackers dispararam na segunda metade de 2017

Durante o período compreendido entre julho e dezembro de 2017, uma em cada cinco empresas foi vítima do criptojacking: ferramentas que permitem aos cibercriminosos apropriar-se da capacidade e dos recursos da sua CPU ou GPU para extrair criptomoedas, utilizando até 65% da capacidade do terminal do utilizador. Também o ransomware e o adware de malvertising continuaram a afetar as empresas de todo o mundo.

O relatório H2 2017 Global Threat Intelligence Trends proporciona uma visão geral detalhada sobre o panorama das ciberameaças nas principais categorias de malware - ransomware, malware bancário e malware móvel - e baseia-se em dados extraídos da inteligência da rede ThreatCloud da Check Point durante a segunda metade do ano de 2017.

Durante o período analisado, a Check Point verificou um aumento significativo do criptojacking. Sendo os crypto-miners normalmente usados por indivíduos com o objetivo de minerar as suas próprias moedas, o crescente interesse público pelo dinheiro virtual veio abrandar o processo de mineração, que depende diretamente do número de proprietários destas moedas. Este abrandamento veio, por seu turno, provocar um aumento da potência computacional necessária para minerar crypto-moedas, o que fez com que os cibercriminosos criassem novas maneiras de reforçar a potência dos sistemas das suas incautas vítimas.

Paralelamente, na segunda metade do ano passado verificou-se um decréscimo no número de expoli kit. Até há um ano, os exploit kits eram um dos principais vetores de ataque em todo o mundo. No entanto, durante 2017, o seu uso decresceu de forma significativa, já que as plataformas que eram exploradas reforçaram a sua segurança. A rápida resposta às vulnerabilidades que foram sendo descobertas pelos fabricantes de segurança e pelos criadores de browsers, em conjunto com as atualizações automáticas das versões mais recentes, também vieram diminuir significativamente a vida útil de novos exploits.

Aumentou também, durante o período analisado, o número de esquemas e burla, bem como de malspam. Ao longo de 2017, a proporção entre as infeções baseadas em HTTP e SMTP mudou a favor do SMTP, dos 55% no primeiro semestre de 2017 para os 62% no segundo. O aumento da popularidade destes métodos de distribuição atraiu cibercriminosos especializados em ameaças que desenvolveram vários exploits de vulnerabilidades nos documentos, especialmente no Microsoft Office.

No último ano, fomos também testemunhas de vários ataques dirigidos a empresas através de dispositivos móveis. Uma das formas de infeção é através do uso de smartphones como proxies, através do malware MilkyDoor, que rouba informações internas das redes empresariais. Outros cibercriminosos usam malware móvel como o Switcher por exemplo, que tenta atacar elementos da rede (como routers) para redirecionar o tráfego da rede para um servidor malicioso sob o controlo dos atacantes.

"Na segunda metade de 2017 vimos os criptojackers assaltar as empresas e utilizadores de todo o mundo, passando a tornar-se no vetor de ataque favorito dos cibercriminosos para obter receitas ilícitas. Embora não se trate de um tipo de malware completamente novo, a crescente popularidade e o valor das criptomoedas levaram a um aumento significativo na sua distribuição”, comenta Maya Horowitz, diretora do grupo de inteligência de ameaças da Check Point. “Além disso, verificámos que algumas tendências se mantiveram, como o ransomware, que já remonta a 2016 mas continua a liderar o mercado das ciberameaças, sendo utilizado tanto para ataques globais como dirigidos contra organizações específicas. Um quarto das infeções que vimos neste período exploravam vulnerabilidades descobertas há mais de uma década, e menos de 20% aproveitam-se de falhas na programação detetadas nos últimos dois últimos anos, pelo que é claro que ainda há muito a fazer até que as empresas estejam mesmo protegidas contra os cibercriminosos”.

Durante o segundo semestre de 2017, o Roughted foi o malware mais prevalente a nível global (15,3%). Seguiu-se o Coinhive (8,3%) e o Locky (7,9%).

Na variante de ransomware, o Locky deixa o terceiro lugar do pódio para liderar a lista como ransomware mais prevalente a nível mundial (30%). O segundo ataque por ransomware mais prevalente foi o Globeimposter (26%), seguido pelo famoso WannaCry (15%).

O sistema operativo Android continuou a ser, durante o segundo semestre de 2017, o mais afetado pelo malware móvel. O Hidad, malware para Android que modifica aplicações e publica-as em lojas online de terceiros, foi o que mais proliferou entre as ameaças móveis (55%). Este malware móvel é capaz de aceder aos principais detalhes de segurança incorporados no sistema operativo, o que permite a um atacante obter dados confidenciais do utilizador. O Triada foi o segundo malware móvel mais prevalente (8%). Esta backdoor modular para Android autoatribui privilégios de superutilizador a si mesmo para descarregar malware, o que o ajuda a integrar-se nos processos do sistema. Também falsifica URLs carregadas no browser. A completar o top três das principais ameaças móveis está o Lotoor. Esta ameaça foi responsável pela infeção de 8% dos dispositivos móveis. Explora vulnerabilidades no sistema operativo Android para obter privilégios de root.  

No malware bancário, o mais expressivo no período analisado pela Check Point foi o Ramnit (34%), um trojan bancário que rouba credenciais bancárias, password FTP, cookies e dados pessoais. O Zeus foi o segundo trojan mais prevalente (22%). Este tipo de malware afeta as plataformas do Windows e utiliza-as para roubar informação bancária através do registo das teclas premidas pela vítima e a captura de formulários preenchidos. O Tinba completa o pódio (16%). Este trojan bancário rouba as credenciais da vítima usando web-inject. É ativado quando o utilizador tenta aceder ao seu banco online.